Parere del Garante n. 581 del 06/08/2026

Disciplinare INPS sulla Carta europea della disabilità

Il Garante per la protezione dei dati personali ha espresso parere favorevole, con provvedimento n. 581 del 6 agosto 2026, sullo schema di disciplinare dell’INPS riguardante le tipologie di dati trattabili, le operazioni eseguibili e le misure di tutela necessarie al funzionamento della Carta europea della disabilità. Il parere è stato reso nell’ambito della consultazione preventiva prevista dall’art. 36, par. 4, del GDPR e ai sensi dell’art. 1, comma 563, della legge 30 dicembre 2018, n. 145.

Atto e innovazioni esaminate

Il disciplinare costituisce l’atto previsto dall’art. 1, comma 563, terzo periodo, della legge n. 145/2018, come modificato dall’art. 66, comma 2, del decreto-legge n. 77/2021, convertito dalla legge n. 108/2021. La disposizione attribuisce all’INPS, sentito il Garante, il compito di individuare le tipologie di dati soggetti a trattamento, le operazioni necessarie al funzionamento della Carta e all’accesso alle informazioni contenute nei verbali di invalidità o disabilità, nonché le misure necessarie alla tutela dei diritti fondamentali degli interessati.

Lo schema aggiorna il disciplinare già esaminato dal Garante nel 2021 e tiene conto della digitalizzazione della procedura. Le principali novità riguardano:

• la possibilità di presentare la domanda anche tramite il Punto di Accesso Telematico, in particolare attraverso l’applicazione IO;
• la gestione della domanda mediante interfacce applicative messe a disposizione di PagoPA S.p.A.;
• la possibilità di verificare tramite il Punto di Accesso Telematico lo stato di lavorazione della domanda presentata attraverso il medesimo canale;
• la designazione di PagoPA S.p.A. quale responsabile del trattamento ai sensi dell’art. 28 del GDPR;
• la disponibilità della Carta in versione digitale nel Portafoglio di IO, su richiesta dell’interessato, ai sensi dell’art. 64-quater, comma 7, del d.lgs. n. 82/2005, recante il Codice dell’amministrazione digitale.

Procedura di presentazione della domanda

La procedura tramite il Punto di Accesso Telematico è strutturata in più passaggi, analogamente a quella già prevista sul portale INPS. Il richiedente può inserire la domanda in bozza, fornendo i dati anagrafici e l’indirizzo di recapito della Carta, allegare una fotografia conforme alle specifiche richieste, confermare l’acquisizione della domanda ed eventualmente allegare documentazione aggiuntiva necessaria alle verifiche della sede territoriale INPS competente.

Anche la fase di lavorazione della domanda e di verifica dei requisiti resta sostanzialmente analoga a quella già prevista per le richieste effettuate direttamente sul portale dell’Istituto.

Quadro normativo e basi giuridiche

Il Garante ha valutato il disciplinare alla luce dei principi di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), del GDPR e delle basi giuridiche previste dagli artt. 6, par. 1, lett. e), e 6, par. 3, del GDPR, nonché dagli artt. 2-ter e 2-sexies del Codice privacy.

Per il trattamento dei dati relativi alla salute, qualificati come categorie particolari di dati personali ai sensi degli artt. 4, n. 15), e 9 del GDPR, rilevano in particolare l’art. 9, par. 2, lett. g), del GDPR e l’art. 2-sexies del Codice, relativi al trattamento necessario per motivi di rilevante interesse pubblico sulla base del diritto dell’Unione o dello Stato membro.

Il quadro normativo comprende inoltre:

• l’art. 1, comma 563, della legge n. 145/2018, che disciplina la Carta e l’accesso alle informazioni strettamente necessarie contenute nei verbali di accertamento;
• il d.P.C.M. 6 novembre 2020, relativo ai criteri di rilascio, realizzazione, distribuzione e sviluppo della Carta;
• gli artt. 64-bis e 64-quater, comma 7, del CAD, riguardanti rispettivamente il Punto di Accesso Telematico e la disponibilità delle versioni digitali di determinati documenti;
• l’art. 8, commi 2 e 3, del decreto-legge n. 135/2018, convertito dalla legge n. 12/2019, relativo al coinvolgimento di PagoPA nella progettazione, sviluppo e gestione del Punto di Accesso Telematico.

Minimizzazione e privacy by design e by default

Il Garante ha richiamato il rispetto del principio di minimizzazione dei dati previsto dall’art. 5, par. 1, lett. c), del GDPR e degli obblighi di protezione dei dati fin dalla progettazione e per impostazione predefinita di cui all’art. 25 del GDPR.

Il richiamo assume particolare rilievo perché la procedura può comportare il trattamento di dati sanitari e di verbali attestanti la condizione di disabilità. In tale prospettiva, l’INPS ha rappresentato l’intenzione di avviare iniziative per instaurare flussi informativi che consentano l’acquisizione diretta dei verbali sanitari dalla Regione Valle d’Aosta e dalle Province autonome di Trento e Bolzano. L’obiettivo è evitare che l’interessato debba produrre personalmente tale documentazione al momento della richiesta, anche quando la domanda sia presentata tramite il Punto di Accesso Telematico.

La soluzione è considerata coerente con la minimizzazione perché riduce gli adempimenti a carico dell’interessato e limita la circolazione e il caricamento di documentazione sanitaria da parte del cittadino, ferma restando la necessità di definire e applicare adeguate garanzie per i flussi istituzionali.

Comunicazioni agli interessati e servizi proattivi

Nel corso dell’istruttoria è stata esaminata anche l’opportunità che l’INPS invii una comunicazione sulla possibilità di presentare la domanda per ottenere la Carta esclusivamente agli interessati che abbiano aderito liberamente e consapevolmente ai cosiddetti servizi proattivi dell’Istituto.

La comunicazione dovrebbe indicare i diversi canali disponibili per la presentazione della domanda, compreso il Punto di Accesso Telematico. Il riferimento alla scelta libera e consapevole dell’interessato delimita l’ambito delle comunicazioni proattive e si collega ai requisiti di correttezza, trasparenza e rispetto delle aspettative degli interessati.

Ruolo di PagoPA e trattamento tramite il Punto di Accesso Telematico

Per la gestione della richiesta tramite il Punto di Accesso Telematico, l’INPS designa PagoPA S.p.A. quale responsabile del trattamento ai sensi dell’art. 28 del GDPR. PagoPA gestisce inoltre il Portafoglio di IO, nel quale può essere resa disponibile la versione digitale della Carta.

La configurazione dei rapporti tra INPS e PagoPA deve pertanto essere coerente con il ruolo di responsabile del trattamento, con le istruzioni documentate del titolare, con l’oggetto e la durata del trattamento, con le categorie di dati e di interessati e con gli obblighi previsti dall’art. 28 del GDPR, per quanto rilevante ai fini delle operazioni disciplinate dal provvedimento.

Misure per le categorie particolari di dati

Il Garante ha ribadito che, nell’ambito del Punto di Accesso Telematico, devono essere applicate misure appropriate e specifiche per il trattamento delle categorie particolari di dati effettuato nella gestione delle domande di rilascio della Carta.

Tali misure devono essere adottate nel rispetto dell’art. 9, par. 2, lett. g), del GDPR e dell’art. 2-sexies del Codice privacy, tenendo conto anche del paragrafo 7.3 delle Linee guida sul Punto di Accesso Telematico ai servizi della pubblica amministrazione. Il parere non individua ulteriori condizioni puntuali da inserire nel disciplinare, ma conferma la necessità che le garanzie previste siano concretamente applicate ai flussi e alle operazioni che coinvolgono i dati sanitari.

Esito del parere

Alla luce dello schema trasmesso, della documentazione integrativa e dei chiarimenti forniti dall’INPS nel corso dell’istruttoria, il Garante ha espresso parere favorevole sul disciplinare.

Il parere favorevole riguarda anche le nuove procedure di richiesta tramite il Punto di Accesso Telematico, la verifica dello stato della domanda e la disponibilità della Carta digitale nel Portafoglio di IO. L’attuazione resta subordinata al rispetto dei principi di liceità, correttezza, trasparenza, minimizzazione, privacy by design e by default e all’applicazione di misure appropriate e specifiche per la protezione dei dati relativi alla salute.